Как узнать какие файлы читает процесс в Linux

Мониторинг файловых дескрипторов процесса в Linux

Для определения файлов, читаемых процессом в Linux, применяется комплексный подход, основанный на анализе файловых дескрипторов (File Descriptors, FD). Каждый процесс при открытии файла получает числовой идентификатор — дескриптор, через который происходит все взаимодействие с файлом. Мониторинг этих дескрипторов позволяет точно установить, какие файлы читаются в реальном времени.

Основные методы диагностики

1. Использование lsof (List Open Files)

Утилита lsof — это основной инструмент для анализа открытых файлов. Она показывает все дескрипторы процесса, включая регулярные файлы, каталоги, сетевые сокеты и др.

# Вывод всех открытых файлов для процесса с PID 1234
lsof -p 1234

# Фильтрация только регулярных файлов, открытых для чтения
lsof -p 1234 | grep -E "^.*r.*REG"

# Поиск процессов, читающих конкретный файл
lsof /path/to/file

Ключевые колонки вывода: FD — дескриптор (r для чтения, w для записи), TYPE — тип ресурса (REG для обычного файла), NODE — индексный дескриптор файла.

2. Инспекция через /proc файловую систему

В Linux каждый процесс представлен директорией /proc/<PID>/. Файловые дескрипторы хранятся в поддиректории fd/, где симлинки указывают на открытые ресурсы.

# Просмотр всех дескрипторов процесса 1234
ls -l /proc/1234/fd/

# Фильтрация дескрипторов для чтения (обычно 0,1,2 — стандартные потоки)
ls -l /proc/1234/fd/ | grep -E ' -> .*deleted'  # Для удаленных файлов

Для детальной информации о файле используется readlink:

readlink /proc/1234/fd/3

3. Утилита strace для трассировки системных вызовов

strace позволяет отслеживать системные вызовы процесса в реальном времени, включая операции open(), read(), openat().

# Запись всех системных вызовов процесса 1234 в файл
strace -p 1234 -e trace=file -o strace_output.log

# Фильтрация только операций открытия файлов для чтения
strace -p 1234 -e open,openat 2>&1 | grep -v ENOENT

Этот метод особенно эффективен для анализа процессов, которые динамически открывают и закрывают файлы.

Практический пример: анализ веб-сервера Nginx

Допустим, нам нужно узнать, какие конфигурационные файлы читает nginx.

# Находим PID основного процесса nginx
pidof nginx

# Используем lsof для анализа
lsof -p $(pidof nginx) | grep -E "\.conf$"

# Альтернативно, смотрим дескрипторы через /proc
ls -l /proc/$(pidof nginx)/fd/ | grep conf

Дополнительные инструменты и нюансы

• fuser — показывает процессы, использующие конкретный файл: fuser -v /path/to/file
• Аудит с помощью auditd — для постоянного мониторинга:

  auditctl -a exit,always -S open -F pid=1234
  

• Динамические библиотеки — процесс может читать файлы через отображение в память (mmap). Их можно найти через lsof -p <PID> | grep DEL.

Критические аспекты для DevOps

1. Производительность — strace может значительно нагрузить процесс, в продакшене используйте с осторожностью.
2. Контейнеры — внутри Docker** контейнеров методы те же, но нужно выполнять команды на хосте с корректным namespace:

   nsenter -t <PID> -n lsof -p <CONTAINER_PID>
   

3. Автоматизация — для мониторинга можно создавать скрипты, например, для отслеживания чтения конфигураций при их изменении.

Заключение: Наиболее эффективная стратегия — комбинация lsof для моментального снимка и strace для динамического анализа. В production-среде предпочтительнее использовать /proc и lsof из-)за их минимального воздействия на процессы. Понимание этих механизмов необходимо для диагностики проблем с дисковым I/O, конфигурацией и безопасностью.